Категорирование объектов КИИ — порядок, сроки и документы (2026)
Как провести категорирование объектов КИИ: комиссия, перечень по № 360-р, критерии значимости, категории К1–К3, акт, сведения во ФСТЭК по форме 236, сроки и штрафы.
Коротко. Категорирование — обязанность каждого субъекта КИИ. Комиссия выявляет объекты по перечню типовых отраслевых объектов, оценивает последствия возможных инцидентов по критериям значимости и присваивает объекту категорию К1–К3 или фиксирует, что категория отсутствует. Сведения о результатах направляются во ФСТЭК в течение 10 рабочих дней после утверждения акта; утверждать и отправлять перечень объектов с 27.12.2024 не нужно.
Кто проводит категорирование
Категорирование проводит субъект КИИ — организация, которой принадлежат информационные системы, сети или АСУ в одной из сфер 187-ФЗ (кто такой субъект). Работу ведёт комиссия, созданная приказом руководителя. Категорируется каждый объект отдельно: у одного субъекта может быть несколько объектов с разными категориями.
Порядок по шагам
- Приказ о комиссии по категорированию — с составом комиссии.
- Сопоставление с перечнем типовых объектов. По ПП № 1762 сначала проверяется, попадает ли система в отраслевой перечень (Распоряжение № 360-р), и только потом оцениваются критерии значимости.
- Реестр объектов КИИ — внутренний список информационных систем, сетей и АСУ с обоснованием принадлежности к вашей сфере. Во ФСТЭК его больше не направляют (ПП № 1281, с 27.12.2024), но он показывает проверяющему, как выявлялись объекты.
- Материалы обоснования — описание объекта, его границ и зависимостей, оценка последствий возможных инцидентов по критериям значимости.
- Акт категорирования по каждому объекту — результат работы комиссии, в том числе «категория отсутствует».
- Сведения во ФСТЭК по форме № 236 — в течение 10 рабочих дней после утверждения акта.
- Пересмотр — не реже одного раза в 5 лет (если отраслевые особенности вашей сферы не задают иной срок), а также при изменении показателей значимости или после инцидента. Изменившиеся сведения направляются во ФСТЭК в течение 20 рабочих дней.
Общий предельный срок «не больше года» отменён вместе с перечнем, но затягивать не стоит: невыявленный объект из перечня № 360-р — самостоятельное нарушение. Отраслевые особенности категорирования уже утверждены для атомной энергии, финансового рынка, науки, госрегистрации недвижимости, ракетно-космической отрасли, связи и ОПК — в них свои показатели значимости и сроки пересмотра.
Критерии значимости и категории
| Критерий | Что оценивается |
|---|---|
| Социальный | вред жизни и здоровью людей, нарушение жизнеобеспечения, транспорта, связи |
| Политический | ущерб интересам России во внутренней и внешней политике |
| Экономический | прямой и косвенный ущерб, влияние на бюджет |
| Экологический | вред окружающей среде |
| Оборона, безопасность, правопорядок | значимость для соответствующих сфер |
Категория присваивается, если последствия достигают пороговых значений хотя бы по одному показателю. К1 — высшая категория, наиболее тяжёлые последствия; К2 — средняя; К3 — низшая из значимых. Если показатели тянут на разные категории, присваивается высшая.
Что меняется после категорирования
| Обязанность | Незначимый объект | Значимый объект |
|---|---|---|
| Категорирование и сведения во ФСТЭК | да | да |
| Уведомление НКЦКИ об инцидентах | да, 24 часа | да, 3 часа |
| Реестр значимых объектов (№ 227) | нет | да |
| Система безопасности (№ 235), меры защиты (№ 239), модель угроз | нет | да |
| Подключение к ГосСОПКА, реагирование | нет | да |
Ответственность
За непредставление сведений о категорировании, нарушение сроков или недостоверные сведения — штраф по ст. 19.7.15 КоАП: для должностных лиц 10–50 тыс. ₽, для юридических лиц 50–100 тыс. ₽.
Частые ошибки
- Не оформили «отрицательный» результат. Нет акта и сведений во ФСТЭК — нет доказательства, что категорирование проведено.
- Регламент категорирования не обновлён под ПП № 1762. Старая терминология «критических процессов» больше не применяется.
- Регламент опирается на отменённые нормы. Отправка перечня объектов во ФСТЭК и «год на категорирование» отменены ПП № 1281 с 27.12.2024 — эти пункты из регламента нужно убрать, а сроки взять из действующей редакции ПП № 127 и отраслевых особенностей.
- Категорию присвоили «навсегда». Новая система, изменение масштаба деятельности или инцидент — повод пересмотреть результат.
Документы по теме — как заполнить
Частые вопросы
Нужно ли категорировать, если очевидно, что значимых объектов нет?
Да. «Категория отсутствует» — тоже результат категорирования. Его оформляют актом и направляют во ФСТЭК; без этого считается, что категорирование не проведено.
Сколько времени отводится на категорирование?
Общего предельного срока больше нет: правило «не больше года» и обязанность направлять перечень объектов во ФСТЭК отменены ПП № 1281 с 27.12.2024. Если для вашей сферы утверждены отраслевые особенности, сверьтесь с ними. Жёсткими остаются сроки по результатам: сведения — в течение 10 рабочих дней после утверждения акта, изменения сведений — в течение 20 рабочих дней.
Как часто пересматривать категорию?
Не реже одного раза в 5 лет, а также при изменении показателей значимости или после компьютерного инцидента.
Что изменило ПП № 1762?
Сместилась «точка входа»: сначала проверяется, попадает ли система в отраслевой перечень типовых объектов (Распоряжение № 360-р), и только потом оцениваются критерии значимости. Сами критерии и категории К1–К3 сохранены.
Справочный материал, не является юридической консультацией. Полная памятка — на главной.